发布日期：2013-05-27
更新日期：2013-05-28

受影响系统：

Apache Group Struts2 2.0.0 - 2.3.14.1

不受影响系统：

Apache Group Struts2 >= 2.3.14.2

描述：

---

BUGTRAQ  ID: 60167
CVE(CAN) ID: CVE-2013-2115

Struts2 是第二代基于Model-View-Controller (MVC)模型的java企业级web应用框架。它是WebWork和Struts社区合并后的产物。

Apache Struts 2.0.0-2.3.14.1存在未彻底修复的安全措施绕过漏洞（CVE-2013-1966），攻击者可利用此漏洞以当前用户权限执行任意代码。此漏洞已经在Struts 2.3.14.2中修复。

<*来源：Eric Kobrin
        Douglas Rodrigues
        Coverity Security Research Laboratory
        NSFOCUS Security Team
  
  链接：http://seclists.org/fulldisclosure/2013/May/175
        http://struts.apache.org/release/2.3.x/docs/version-notes-23142.html
        https://cwiki.apache.org/confluence/display/WW/S2-014
*>

建议：

---

厂商补丁：

Apache
------
Apache已经为此发布了一个安全公告（S2-014）以及相应补丁:
S2-014：A vulnerability introduced by forcing parameter inclusion in the URL and Anchor Tag allows remote command execution, session access and manipulation and XSS attacks
链接：https://cwiki.apache.org/confluence/display/WW/S2-014

浏览次数：5405
严重程度：0（网友投票）